Новости

Apr 03, 2024

Почему API-атаки растут и как их избежать

Растущее использование API-интерфейсов дает злоумышленникам больше возможностей взломать средства контроля аутентификации, украсть данные или совершить разрушительные действия. Австралийская энергетическая компания Jemena в той или иной форме использует API для

Растущее использование API-интерфейсов дает злоумышленникам больше возможностей взломать средства контроля аутентификации, украсть данные или совершить разрушительные действия.

Австралийская энергетическая компания Jemena использует API в той или иной форме уже около десяти лет. Использование API — интерфейсов прикладного программирования — в последнее время резко возросло и, как ожидается, увеличится в пять раз в течение следующих нескольких лет. «Мы находимся на ранней стадии нашего пути», — говорит Дэниел Гордон, руководитель отдела архитектуры кибербезопасности компании. «Теперь все в первую очередь API, а не второстепенная мысль».

По словам Гордона, Джемена использует API для обмена информацией с деловыми партнерами и в приложениях, ориентированных на клиентов. «Даже операторы рынка и регуляторы переходят на API. В прошлом году произошло явное ускорение — API-ификация всего».

Гордон считает, что это создает новые проблемы безопасности для компании. Особенность API в том, что они созданы для обеспечения эффективного доступа к данным. Если злоумышленнику удастся скомпрометировать API, он потенциально может украсть огромные объемы данных за очень короткое время.

Традиционные подходы к безопасности веб-приложений, направленные на предотвращение доступа ботов, не применимы к безопасности API, поскольку по определению все запросы API передаются между компьютерами. «У нас не столько проблема с ботами, сколько потенциальная проблема утечки данных. Вот что нас больше всего беспокоит — беспрепятственный доступ к данным», — говорит Гордон. «Будучи энергетической компанией, мы храним много личной информации».

Jemena — это компания со штатом в 3200 сотрудников, которая поставляет электроэнергию более чем в 350 000 домов и предприятий, а также поставляет газ более чем 1,5 миллионам клиентов. Помимо обычной личной информации, существуют также конфиденциальные с медицинской точки зрения данные, например, о наличии у клиентов оборудования для жизнеобеспечения или других особых требованиях. На некоторые типы данных распространяются нормативные ограничения, запрещающие отправку за границу или которыми можно делиться только с определенными известными сторонами. «Все становится очень сложно», — говорит Гордон.

Веб-приложения компании защищены брандмауэром веб-приложений (WAF), но возможности WAF ограничены. «Профиль API отличается от того, от чего традиционно защищает WAF», — говорит Гордон. «Вы действительно ожидаете большого объема запросов, а WAF не защищает от атак на бизнес-логику». Вместо этого Джемене нужен был инструмент безопасности, который учитывает особенности каждого запроса API и поведение отправившей его машины и может отличить хорошего бота от плохого. «Существует много старых компаний, занимающихся блокировкой ботов, но не так много собственных решений по обеспечению безопасности API», — говорит Гордон. Все может измениться. «Мы считаем, что в следующем году рынок будет сильно развиваться».

В конце прошлого года Джемена начала искать решение, которое интегрировалось бы с уже имеющимися в компании системами безопасности, и остановилась на Salt Security. Система использует поведенческий подход к безопасности API. «Вы должны понимать форму ваших данных и понимать, соответствуют ли запросы ожидаемой форме», — говорит Гордон.

Новый инструмент смог изучить закономерности API-трафика компании, выяснить, как выглядит стандартный запрос, а затем искать отклонения от этого шаблона. Он находится за брандмауэром веб-приложений, но также подключается к системе безопасности информации и управления событиями компании, то есть Splunk. «Мы не хотели иметь еще одно оконное стекло, на которое можно было бы смотреть», — говорит он. У Salt есть свои собственные информационные панели, добавляет он. «Но мы не проводим много времени в самой Salt — мы проводим время в Splunk, наблюдая за тем, что генерируется».

Одним из потенциальных недостатков метода обнаружения аномалий в обеспечении безопасности API является то, что веб-приложения часто меняются, как и соответствующий трафик API. По словам Гордона, в Джемене не было систем достаточно долго, чтобы сказать, станет ли это проблемой. «Мы будем очень внимательно следить за ситуацией по мере увеличения объемов наших API».

Jemena — не единственная компания, беспокоящаяся о безопасности API, и на это есть веские причины. API значительно расширяют количество способов, с помощью которых злоумышленники могут получить доступ к конфиденциальным данным и системам. Их особенно сложно защитить. К счастью, новые технологии, в том числе искусственный интеллект, начинают помогать предприятиям справляться с этой угрозой.